MPLS 流量的防火墙过滤器匹配条件
您可以使用 MPLS 流量匹配条件配置防火墙过滤器 (family mpls
)。
-
input-list filter-names
除管理接口和内部以太网接口 (fxp
或em0
)、环路接口 (lo0
) 和 USB 调制解调器接口 (umd
) 之外,所有接口都支持协议系列防火墙mpls
过滤器的 andoutput-list filter-names
语句 -
(QFX5100、QFX5110、QFX5200、QFX5210)如果要在环路接口上应用 MPLS 过滤器,则只能对 、
exp
、ttl=1
、 第 4tcp
层和udp
端口号字段进行label
过滤。对于 TTL,您必须显式指定ttl=1
underfamily mpls
才能匹配 TTL=1 数据包。唯一可以配置的操作包括accept
、discard
和count
。您只能在入口方向应用过滤器。 -
对于具有 MPC 和 MIC 的 MX 系列路由器,您可以使用内部有效负载匹配条件,根据 MPLS 标记的 IPv4 和 IPv6 参数为 MPLS 系列应用入站和出站过滤器,并启用 MPLS 流量到监控设备的选择性端口镜像(从 Junos OS 版本 18.4R1 开始)。对于基于 IP 的过滤,MPLS 过滤术语
from
参数下提供了其他匹配条件,为了支持端口镜像,可以在过滤器术语then
参数下执行其他操作(例如端口镜像和端口镜像实例)。
表 1介绍了可以在层次结构级别配置[edit firewall family mpls filter filter-name term term-name from]
的 match-conditions
。
匹配条件 | Description |
---|---|
|
指定要从中继承配置数据的组。可以指定多个组名。必须按继承优先级顺序列出它们。第一组中的配置数据优先于后续组中的数据。 |
|
指定不从中继承配置数据的组。可以指定多个组名。 |
|
在 UDP 或 TCP 目标端口字段上进行匹配。 要代替数值,可以指定以下文本同义词之一(还会列出端口号): |
|
数据包的 MPLS 标头中的实验 (EXP) 位号或位号范围。 对于 number,可以二进制、十进制或十六进制格式指定一个或多个从 0 到 7 的值,如下所示:
注:
此匹配条件在 PTX10001-36MR、PTX10003、PTX10004、PTX10008 和 PTX10016 设备上已弃用,取而代之 |
|
与 MPLS 标头中的 EXP 位号或位号范围不匹配。对于 注:
此匹配条件在 PTX10001-36MR、PTX10003、PTX10004、PTX10008 和 PTX10016 设备上已弃用,取而代之 |
|
数据包的 TOS MPLS 标头中的实验 (EXP) 位号或位号范围。 对于 number,可以二进制、十进制或十六进制格式指定一个或多个从 0 到 7 的值,如下所示:
|
|
不要匹配数据包的 TOS MPLS 标头中的 EXP 位号或位号范围。 对于 number,可以二进制、十进制或十六进制格式指定一个或多个从 0 到 7 的值,如下所示:
|
|
实验性 (EXP) 位号或 MPLS 标头中位于 TOS(堆栈顶部)MPLS 标头旁边的位号范围。 对于 number,可以二进制、十进制或十六进制格式指定一个或多个从 0 到 7 的值,如下所示:
|
|
在 TOS MPLS 标头旁边的 MPLS 标头中的 EXP 位号或位号范围上不匹配。 对于 number,可以二进制、十进制或十六进制格式指定一个或多个从 0 到 7 的值,如下所示:
|
|
转发类。指定 注:
在 PTX10001-36MR 上,使用PTX10003、PTX10004、PTX10008、PTX10016 路由器 |
|
在转发类上不匹配。指定 |
|
接收数据包的接口。您可以配置匹配条件,根据接收数据包的接口匹配数据包。 注:
如果使用不存在的接口配置此匹配条件,则该术语与任何数据包都不匹配。 |
|
将接收数据包的接口与指定的接口集匹配。 要定义接口集,请在层次结构级别包含 注:
PTX 系列数据包传输路由器不支持此匹配条件。 有关更多详细信息,请参阅过滤接口集上接收的数据包概述。 |
|
匹配内部 IP 版本。例如,要匹配带有 MPLS 标记的 IPv4 数据包,请匹配文本同义词 |
|
数据包的 MPLS 标头中的 MPLS 标签值或标签值范围。 对于 number,可以十进制或十六进制格式指定一个或多个从 0 到 1048575 的值,如下所示:
注:
此选项在 PTX10001-36MR、PTX10003、PTX10004、PTX10008 和 PTX10016 设备上已弃用,并替换为 |
|
数据包的 TOS MPLS 标头中的 MPLS 标签值或标签值范围。 对于 number,可以十进制或十六进制格式指定一个或多个从 0 到 1048575 的值,如下所示:
|
|
不匹配数据包的 TOS MPLS 标头中的 MPLS 标签值或标签值范围。 对于 number,可以十进制或十六进制格式指定一个或多个从 0 到 1048575 的值,如下所示:
|
|
匹配 TOS MPLS 标头旁边的 MPLS 标头的 MPLS 标头标签中的 MPLS 标签值或标签值范围。 对于 number,可以十进制或十六进制格式指定一个或多个从 0 到 1048575 的值,如下所示:
|
|
与 TOS MPLS 标头旁边的 MPLS 标头标签中的 MPLS 标签值或标签值范围不匹配。 对于 number,可以十进制或十六进制格式指定一个或多个从 0 到 1048575 的值,如下所示:
|
label number top | bottom | offset offset-value |
匹配传入 MPLS 数据包的顶部标签、底部标签或指定偏移量(从标签堆栈的顶部或底部)的标签。
注:
注:
配置命令选项在 Junos 22.3R1 版中引入。 |
|
匹配数据包丢失优先级 (PLP) 级别。 指定单个级别或多个级别: 在 M120 和 M320 路由器上受支持;采用增强型 CFEB (CFEB-E) 的 M7i 和 M10i 路由器;以及 MX 系列路由器和 EX 系列交换机。 对于配备增强型 II 灵活 PIC 集中器 (FPC) 和 EX 系列交换机的 M320、MX 系列和 T 系列路由器上的 IP 流量,必须在层次结构级别包含 有关该 注:
在 PTX10001-36MR 上,使用PTX10003、PTX10004、PTX10008、PTX10016 路由器 |
|
与 PLP 级别不匹配。有关详细信息,请参阅 注:
PTX 系列数据包传输路由器不支持此匹配条件。 |
|
在 TCP 或 UDP 源端口字段上进行匹配。 不能在同一术语中指定 如果为 IPv4 流量配置此匹配条件,我们建议您还在同一术语中配置 您可以指定 下 |
|
匹配数据包的 TOS MPLS 标头中的 TTL 编号或数字范围。生存时间 (TTL) 是 MPLS 标签中的一个 8 位字段,表示数据包在其生命结束和丢弃之前剩余的时间。 对于 number,可以指定一个介于 0 到 255 之间的值。 |
|
不要匹配数据包的 TOS MPLS 标头中的 TTL 编号或数字范围。生存时间 (TTL) 是 MPLS 标签中的一个 8 位字段,表示数据包在其生命结束和丢弃之前剩余的时间。 对于 number,可以指定一个介于 0 到 255 之间的值。 |
|
匹配数据包的 TOS MPLS 标头旁边的 MPLS 标头中的 TTL 编号或编号范围。生存时间 (TTL) 是 MPLS 标签中的一个 8 位字段,表示数据包在其生命结束和丢弃之前剩余的时间。 对于 number,可以指定一个介于 0 到 255 之间的值。 |
|
不要匹配数据包的 TOS MPLS 标头旁边的 MPLS 标头中的 TTL 编号或数字范围。生存时间 (TTL) 是 MPLS 标签中的一个 8 位字段,表示数据包在其生命结束和丢弃之前剩余的时间。 对于 number,可以指定一个介于 0 到 255 之间的值。 |
exp0
、 exp0-except
、 exp1
、 exp1-except
label0
ttl1
ip-version
label1
ttl1-except
label0-except
label1-except
ttl0
ttl0-except
仅在 PTX10001-36MR、PTX10003、PTX10004、PTX10008 PTX10016 上受支持。
表 2 介绍了可在层次结构级别为 [edit firewall family mpls filter filter-name term term-name then]
MPLS 防火墙过滤器配置的操作。
操作 |
Description |
---|---|
|
接受数据包 |
|
计算通过此过滤器或术语的数据包数。 注:
我们建议您为防火墙过滤器中的每个术语配置一个计数器,以便可以监控与每个过滤器术语中指定的条件匹配的数据包数。 |
|
以静默方式丢弃数据包,而不发送互联网控制消息协议 (ICMP) 消息 |
|
从 Junos OS 13.2X51-D15 开始,您可以将 MPLS 过滤器匹配的流量发送到双色监管器。 |
|
从 Junos OS 13.2X51-D15 开始,您可以将 MPLS 过滤器匹配的流量发送到三色监管器。 |